瞄准MetaMask的双重验证钓鱼攻击肆虐…种子短语窃取手段日益精进_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

瞄准MetaMask的双重验证钓鱼攻击肆虐…种子短语窃取手段日益精进

2026-01-05 16:28:14

加密货币安全公司 SlowMist 发布紧急警告

该公司警告称，出现了一种针对 MetaMask 钱包用户的新型网络钓鱼骗局。此次攻击手法极为精巧，通过伪装双重认证（2FA）流程来窃取用户的钱包恢复助记词。

攻击手法剖析

SlowMist 的首席安全负责人 “23pds” 透露，该攻击通过模仿 MetaMask 安全界面的虚假网站实施。攻击者使用类似 “mertamask” 的仿冒域名地址，将用户引导至虚假的认证页面。这些页面采用与真实界面相似的设计，并配有倒计时器和警告信息，以博取用户信任。在最后阶段，则以完成认证为名，诱使用户输入恢复助记词。

2025年网络钓鱼犯罪趋势

数据显示，2025年全年因网络钓鱼造成的加密货币损失约为 8385 万美元，较上年下降了 83%。受害者数量也减少了约 68%，降至约 10.6 万人。然而，攻击手法却变得愈发精细和狡猾。

根据一份行业报告，2025年的网络钓鱼活动与市场周期紧密相关。仅在以太坊表现强劲的第三季度，损失就高达 3100 万美元。其中 8 月至 9 月期间的损失占全年总损失的 29%，显示出在高交易量时期攻击增加的“概率型欺诈”模式。

主要攻击向量与演变

损失最大的单次事件发生在 9 月，由钱包签名伪造导致，损失约 650 万美元。许可签名方式 “Permit” 和 “Permit2” 的授权功能仍然是最常见的攻击媒介，在损失超过百万美元的事件中，有 38% 与此相关。

在以太坊 “Pectra” 升级之后，出现了新型恶意签名方式（基于 EIP-7702）。这种方式可冒充用户授权，同时执行多个恶意指令，仅在 8 月就造成了 254 万美元的损失。

2025年，损失超过百万美元的大型事件从上年的 30 起减少至 11 起。与此同时，针对数百个钱包同时发起的小额、广泛攻击变得突出。平均损失金额降至 790 美元，单个钱包的损失大多不超过 2000 美元。这表明攻击者正将目标从“巨鲸”转向普通零售用户。

行业协作防御

近期，一种被称为“排水器”的加密恶意工具正在不同区块链上广泛传播。安全专家强调，此类攻击更多地是利用人性心理的“社会工程学”技术，而非单纯的技术漏洞。

为应对此威胁，MetaMask、Phantom、WalletConnect、Backpack 等主流钱包服务已与安全联盟（SEAL）合作，推出了“全球网络钓鱼防御网络”。该系统允许任何人举报钓鱼网站，举报内容经过自动验证后，会实时分享给参与合作的各个钱包服务商，从而能够在损害扩散前实现快速检测和拦截。

MetaMask 安全研究员 Ohm Shah 表示：“与排水器的对抗是一场持续的追逐战，通过与 SEAL 的合作，我们能更快地构建防御体系。” SEAL 的核心工具“已验证钓鱼报告系统”有助于筛选出确实包含钓鱼内容的网站，并通知相关机构。

新兴威胁：深度伪造

除了技术型攻击，近期还出现了基于深度伪造视频的欺诈手段。例如，去年 4 月曾曝出，某网络联合创始人 Kenny Li 在 Zoom 视频通话中遭遇他人冒充，对方要求其安装恶意脚本。他将此事归咎于与朝鲜有关的黑客组织 Lazarus。

整体安全形势

另一方面，2025年 12 月因加密货币黑客攻击和安全事件造成的总损失为 7600 万美元，较 11 月的 1.942 亿美元下降了 60%。然而，专家警告称，诸如地址篡改、浏览器钱包漏洞等各种持续存在的威胁仍在不断演变。

常见问题解答

问：MetaMask 双重认证钓鱼攻击具体如何运作？

问：为什么绝对不应该输入恢复助记词？

问：报道称 2025 年加密货币钓鱼损失下降了，这是否意味着更安全了？

问：MetaMask 和其他钱包服务商如何应对？

问：个人用户应如何保护自己免受此类诈骗？

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文